Włączające Się "dokumenty" Przy Uruchamianiu Systemu

[Kowal_91]

Mam problem, bo podczas logowania, gdy załaduje się pulpit to automatycznie włączają się Moje Dokumenty. Sprawdzałem to już w msconfig i EasyCleanerze ale nic takiego tam nie ma odpowiedzialnego za to włączanie się. Podejrzewałem, że to mógłbyć jakiś wirus, ale przeskanowałem system NOD32 i nic nie wykrył... :(

 

Macie jakieś podejrzenia?

[greg505]

sprawdz opcje 'przywroc poprzednie okna po zalogowaniu' w ocjach folderow

[stivo]

A może w Start -> (wszystkie programy) -> Autostart zajrzyj czy tam nie masz tego folderu wrzuconego.

[Kowal_91]

W opcjach folderów jest wszsytko OK a w Autostarcie nie mam tego folderu =/

[ULLISSES]

1. Wklej log z HijackThis.

2. Wklej zawartość pliku desktop.ini znajdującego w folderze Moje dokumenty (uwaga: plik ukryty i systemowy - wymagane wyłączenie 2 opcji w "opcjach folderów" lub użycie jakiegoś menedżera plików - np Total Commander).

Przy wklejaniu skorzystaj ze spoilera lub strony wklej.org.

[Kowal_91]

1. Wklej log z HijackThis.

2. Wklej zawartość pliku desktop.ini znajdującego w folderze Moje dokumenty (uwaga: plik ukryty i systemowy - wymagane wyłączenie 2 opcji w "opcjach folderów" lub użycie jakiegoś menedżera plików - np Total Commander).

Przy wklejaniu skorzystaj ze spoilera lub strony wklej.org.

sorki, ale nie bardzo rozumiem tego posta. Mógłbyś mi wytłumaczyć co mam zrobić? :)

[Enzovelionn]

1.A więc ściągasz z neta programik HijackThis, uruchamiasz, wciskasz przycisk "Do a system scan and save a logfile", po czym wyskoczy ci Notatnik. Kopiujesz zawartość notatnika i wklejasz na forum czyli tutaj.

 

2. Ściągasz również z neta bardzo przydatny programik total commander ( skrót total cmd), instalujesz, uruchamiasz. Wyskakuje Ci okienko i nad przyciskami 1, 2 i 3 jest napisane: "Proszę wcisnąć przycisk x by uruchomić program!" (z czego x to numer od 1 - 3 zależy jaki Ci wyskoczy). Potwierdziłeś, i masz taki mały button domyślnie C. Wybierasz partycję na której masz zainstalowanego WINDOWSA. No i według instrukcji Ullissesa powinieneś znaleźć na partycji systemowej pliczek desktop.ini który znajduje się w Moje dokumenty.

[greg505]

ad1. http://download.hijackthis.eu/hijackthis_199.zip

ad2. w katalogu Moje dokumenty masz plik 'desktop.ini', ma on atrybuty system and hiden, zeby go zobaczyc w Opcjach folderow>widok: odznacz 'ukryj chronione pliki sysytemu...' oraz wybierz 'pokaz uryte pliki i foldery'

pozniej wejdz w moje dokumenty, otworz ten plik i wklej tu (lub na stronie wklej.org) zawartosc tego pliku

 

ja tylko powtorzylem to co skrobna ULLISSES ;]

[Kowal_91]

Wielkie dzięki Wam :)

 

A więc:

 

1.

Logfile of HijackThis v1.99.1

Scan saved at 20:34:55, on 2008-05-06

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

D:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

C:\Program Files\iPlus\Drivers\driver2k\GTMax3.6\GtDetectSc.exe

C:\Program Files\iPlus\Drivers\driver2k\GTMax3.6\GtFlashSwitch.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe

D:\Program Files\Gadu-Gadu\gg.exe

C:\Program Files\EDGE Dialer\Edge.exe

D:\Program Files\MSI\MSI Radio\MSIRadio.exe

C:\Program Files\Opera\Opera.exe

D:\Program Files\mIRC\mirc.exe

D:\Programy z neta\hijackthis_199\HijackThis.exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll

F2 - REG:system.ini: UserInit=userinit.exe,EXPLORER.EXE,

O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKCU\..\Run: [Gadu-Gadu] "D:\Program Files\Gadu-Gadu\gg.exe" /tray

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Program Files\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - d:\Program Files\ICQ6\ICQ.exe

O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll

O10 - Unknown file in Winsock LSP: c:\windows\system32\nvappfilter.dll

O17 - HKLM\System\CCS\Services\Tcpip\..\{90256F6C-E212-4C1D-818B-D58AC22820E8}: NameServer = 217.116.100.66 217.116.100.65

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL

O23 - Service: Eset HTTP Server (EhttpSrv) - Unknown owner - D:\Program Files\ESET\ESET NOD32 Antivirus\EHttpSrv.exe

O23 - Service: Eset Service (ekrn) - ESET - D:\Program Files\ESET\ESET NOD32 Antivirus\ekrn.exe

O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcAppFlt.exe

O23 - Service: Forceware Web Interface (ForcewareWebInterface) - Unknown owner - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\Apache Group\Apache2\bin\apache.exe" -k runservice (file missing)

O23 - Service: GtDetectSc Service (GtDetectSc) - OptionNV - C:\Program Files\iPlus\Drivers\driver2k\GTMax3.6\GtDetectSc.exe

O23 - Service: GtFlashSwitch Service (GtFlashSwitch) - Option - C:\Program Files\iPlus\Drivers\driver2k\GTMax3.6\GtFlashSwitch.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\1050\Intel 32\IDriverT.exe

O23 - Service: ForceWare IP service (nSvcIp) - NVIDIA Corporation - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcIp.exe

O23 - Service: ForceWare user log service (nSvcLog) - NVIDIA - C:\Program Files\NVIDIA Corporation\NetworkAccessManager\bin\nSvcLog.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - Unknown owner - %ProgramFiles%\WinPcap\rpcapd.exe" -d -f "%ProgramFiles%\WinPcap\rpcapd.ini (file missing)

 

2.

[DeleteOnCopy]

Owner=Paweł

Personalized=5

PersonalizedName=Moje dokumenty

[DeleteOnCopy.A]

Owner=Paweł

[DeleteOnCopy.W]

Owner=Pawe+AUI-

[ULLISSES]

Poza tym wpisem:

F2 - REG:system.ini: UserInit=userinit.exe,EXPLORER.EXE,

to nie widzę tu nic specjalnego, co mogłoby dawać ten efekt. "desktop.ini" czysty.

[Kowal_91]

czyli mam spróbować wykasować tę linię?

[ULLISSES]

Owszem. Zaznaczasz i wciskasz "Fix" czy jak tam jest na przycisku...

 

Jak nie pomoże, to zobacz czy nie ma w katalogu Moje dokumenty dziwnych plików, których tam nie powinno być - np autorun.inf.

[Kowal_91]

Wielkie dzięki ULLISSES :)

 

Po wykasowaniu tej linii już Moje Dokumenty się nie włączają przy logowaniu :)

 

Jeszcze raz dzięki!

[Enzovelionn]

Programik Ci się przyda dla czyszczenia autostartu, czyli zamiast zużywania 400 MB RAM, jeśli okroisz mocno autostart to nawet zjedziesz do 100 MB.

[Manhunt]

Witam!

Podepnę się pod ten topic bo mam podobny problem ;) Ale zamiast folderu Moje Dokumenty włącza się Program Files.

Log z Hijackthis:

» Naciśnij aby pokazać/ukryć tekst oznaczony jako spoiler « - "<- Tu LOG"

Logfile of HijackThis v1.99.1

Scan saved at 14:28:05, on 2008-05-10

Platform: Windows XP Dodatek SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\Explorer.EXE

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\IoctlSvc.exe

C:\WINDOWS\system32\HPZipm12.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Documents and Settings\Administrator\Pulpit\Overclocking\CoreTemp\Core Temp.exe

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Program Files\Tlen.pl\tlen.exe

C:\Program Files\WinRAR\WinRAR.exe

C:\DOCUME~1\ADMINI~1\USTAWI~1\Temp\Rar$EX00.422\HijackThis.exe

 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.yahoo.com/

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza

O1 - Hosts: 127.255.255.255 serial.alcohol-soft.com

O1 - Hosts: 127.255.255.255 www.alcohol-soft.com

O1 - Hosts: 127.255.255.255 images.alcohol-soft.com

O2 - BHO: Yahoo! Companion BHO - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_0_1.dll

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll

O2 - BHO: flashget urlcatch - {2F364306-AA45-47B5-9F9D-39A8B94E7EF7} - C:\Program Files\FlashGet\jccatch.dll

O2 - BHO: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: FlashGet GetFlash Class - {F156768E-81EF-470C-9057-481BA8380DBA} - C:\Program Files\FlashGet\getflash.dll

O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Program Files\Yahoo!\Companion\Installs\cpn\ycomp5_6_0_1.dll

O3 - Toolbar: Megaupload Toolbar - {4E7BD74F-2B8D-469E-CCB0-B130EEDBE97C} - C:\PROGRA~1\MEGAUP~1\MEGAUP~1.DLL

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [Komunikator] C:\Program Files\Tlen.pl\tlen.exe

O4 - HKCU\..\Run: [EVEREST AutoStart] C:\Program Files\ Everest Ultimate Edition 2007 v4.00.1027\everest.exe

O8 - Extra context menu item: &Download All with FlashGet - C:\Program Files\FlashGet\jc_all.htm

O8 - Extra context menu item: &Download with FlashGet - C:\Program Files\FlashGet\jc_link.htm

O8 - Extra context menu item: Dodaj do blokowanych banerów - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm

O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll

O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL

O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe

O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\Program Files\FlashGet\FlashGet.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Program Files\Messenger\msmsgs.exe

O17 - HKLM\System\CCS\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS1\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS4\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS5\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS9\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS16\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS19\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS20\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O17 - HKLM\System\CS21\Services\Tcpip\..\{340ED79E-18E7-4ED9-ACBA-BA639A28D97F}: NameServer = 194.204.159.1 217.98.63.164

O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\kloehk.dll,C:\PROGRA~1\KASPER~1\KASPER~3.0\adialhk.dll

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Program Files\Nero\Nero8\Nero BackItUp\NBService.exe

O23 - Service: NMIndexingService - Nero AG - C:\Program Files\Common Files\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Program Files\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe

 

Deskopt.ini też czysty chyba :P

 

Pozdro

[ULLISSES]

Na początek:

Menedżer procesów (Ctrl+Alt+Del), ubij MDM.exe, potem przejdź do:

C:\Program Files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE

i usuń ten plik. Na koniec w HijackThis zaznacz tą linię do "naprawy".

To nie robak, ale potrafi skutecznie spowolnić system - w zależności z której wersji Office pochodzi.

 

C:\WINDOWS\system32\RUNDLL32.EXE <- zbędne

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install <- zbędne

 

Generalnie nie widzę niczego, co mogłoby to powodować. Sprawdź rozwiązania opisane wcześniej. Ostatecznie wywal jeszcze to:

O20 - Winlogon Notify: klogon - C:\WINDOWS\system32\klogon.dll

Tak, wiem że to od Kasperskiego.